Schweizer Datenschutz

Letzte Aktualisierung: 7. April 2026

1. Anwendbares Recht

lynox AI wird von Brandfusion Burlet betrieben, einem Einzelunternehmen mit Sitz in Rapperswil-Jona, Kanton St. Gallen, Schweiz. Als Schweizer Verantwortlicher unterliegt lynox AI dem revidierten Bundesgesetz über den Datenschutz (nDSG), das am 1. September 2023 in Kraft getreten ist, samt Datenschutzverordnung (DSV) und Verordnung über Datenschutzzertifizierungen (VDSZ).

Diese Seite erläutert, wie lynox das Schweizer Datenschutzrecht einhält. Sie ergänzt unsere Datenschutzerklärung und unseren Auftragsverarbeitungsvertrag.

2. Bearbeitungsgrundsätze (Art. 6 nDSG)

Jede Bearbeitung von Personendaten durch lynox AI erfolgt in Übereinstimmung mit den in Art. 6 nDSG verankerten Grundsätzen:

• Rechtmässigkeit — Personendaten werden rechtmässig bearbeitet, gestützt auf Einwilligung, Vertragserfüllung, überwiegende Interessen oder gesetzliche Verpflichtung.
• Treu und Glauben — Die Bearbeitung erfolgt nach Treu und Glauben und in einer Weise, die den berechtigten Erwartungen der betroffenen Personen entspricht.
• Verhältnismässigkeit — Es werden nur Personendaten erhoben und bearbeitet, die für den angegebenen Zweck erforderlich sind. Wir erheben keine Daten auf Vorrat oder über das Notwendige hinaus.
• Zweckbindung — Personendaten werden für bestimmte, klar definierte Zwecke erhoben und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterbearbeitet.
• Richtigkeit — Wir treffen angemessene Massnahmen, um sicherzustellen, dass Personendaten richtig und, soweit erforderlich, aktuell sind.
• Aufbewahrungsbeschränkung — Personendaten werden nur so lange aufbewahrt, wie es für die Zwecke erforderlich ist, für die sie erhoben wurden. Die konkreten Aufbewahrungsfristen finden sich in unserer Datenschutzerklärung.

3. Informationspflicht (Art. 19 nDSG)

In Erfüllung der Informationspflicht gemäss Art. 19 nDSG geben wir Folgendes bekannt:

4. Grenzüberschreitende Datenbekanntgabe (Art. 16–17 nDSG)

Gemäss Art. 16 nDSG dürfen Personendaten ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des Zielstaates oder des internationalen Organs einen angemessenen Schutz gewährleistet. Gemäss Art. 17 nDSG sind bei fehlendem Angemessenheitsbeschluss geeignete Garantien vorzusehen.

Staaten mit angemessenem Schutz

Der EU-/EWR-Raum ist vom Bundesrat als Gebiet mit angemessenem Datenschutz anerkannt (Anhang 1 DSV). Übermittlungen an Hetzner (Deutschland) und Plausible (Estland) sind durch diesen Angemessenheitsbeschluss abgedeckt.

Übermittlungen in die USA

Einzelne Unterauftragsverarbeiter haben ihren Sitz in den USA (Anthropic, Stripe, Cloudflare). Für diese Übermittlungen stützen wir uns auf:

• Standardvertragsklauseln (SVK) — Die von der EU-Kommission genehmigten SVK (Beschluss 2021/914), die gemäss Art. 16 Abs. 2 lit. d nDSG als geeignete Garantien anerkannt sind, wurden in alle betreffenden Unterauftragsverarbeiterverträge aufgenommen.
• Swiss-US Data Privacy Framework — Soweit der Unterauftragsverarbeiter unter dem vom Bundesrat anerkannten Swiss-US Data Privacy Framework zertifiziert ist, können Übermittlungen zusätzlich auf diesen Rahmen gestützt werden.
• Ergänzende Massnahmen — Verschlüsselung bei der Übertragung (TLS 1.3) und im Ruhezustand (AES-256-GCM) für sämtliche grenzüberschreitend übermittelten Daten.

Mistral AI: KI-Inferenz innerhalb der EU

KI-Inferenz kann über Mistral AI laufen, einem in Frankreich ansässigen Unternehmen, das seine direkte API innerhalb der EU betreibt. Kundinnen und Kunden mit EU-Datenhaltungs-Anforderung wählen Mistral als Primärprovider und halten ihre Inferenz damit vollständig im EU-Raum; übrige nutzen Mistral als Fallback oder für ausgewählte Workloads, während die Claude-Inferenz über die direkte Anthropic-API (USA) unter den oben beschriebenen Garantien erfolgt.

5. Rechte betroffener Personen (Art. 25–29 nDSG)

Das nDSG gewährt betroffenen Personen folgende Rechte, die wir vollumfänglich gewährleisten:

• Auskunftsrecht (Art. 25 nDSG) — Sie können Auskunft darüber verlangen, ob und welche Personendaten wir über Sie bearbeiten, den Zweck der Bearbeitung, die Aufbewahrungsdauer, die Herkunft der Daten und allfällige Empfänger.
• Recht auf Datenherausgabe (Art. 28 nDSG) — Sie können verlangen, dass Ihre Personendaten Ihnen oder einem Dritten in einem gängigen elektronischen Format herausgegeben werden.
• Recht auf Berichtigung — Sie können die Berichtigung unrichtiger Personendaten verlangen.
• Recht auf Löschung — Sie können die Löschung Ihrer Personendaten verlangen, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
• Widerspruchsrecht — Sie können der Bearbeitung auf Grundlage überwiegender Interessen widersprechen.

Zur Ausübung dieser Rechte wenden Sie sich an privacy@lynox.ai. Wir antworten innerhalb von 30 Tagen gemäss Art. 25 Abs. 6 nDSG.

6. Berufsgeheimnis (Art. 321 StGB)

Bestimmte Berufe in der Schweiz unterliegen dem Berufsgeheimnis gemäss Art. 321 des Schweizerischen Strafgesetzbuches (StGB) — darunter Anwältinnen und Anwälte, Ärztinnen und Ärzte, Revisorinnen und Revisoren sowie Treuhänderinnen und Treuhänder. Für diese Berufsgruppen hat die Wahl der KI-Infrastruktur besondere rechtliche Bedeutung:

• Self-Hosting ausschliesslich mit EU-nativen Modellen — Die sicherste Konfiguration für Berufe mit Geheimhaltungspflichten. Daten verbleiben auf Ihrer eigenen Infrastruktur, und Sie können die Inferenz auf EU-basierte Anbieter beschränken (z. B. Mistral AI, lokale Modelle). Diese Konfiguration minimiert das Risiko einer Geheimnissverletzung.
• Managed Hosting — Isolierter Per-Tenant-Container auf einem Hetzner-Tenant-Host (Deutschland); dedizierter Single-Tenant-VPS als Enterprise-Option verfügbar. Kundinnen und Kunden können Mistral AI (Frankreich, EU) als primären Inferenzanbieter wählen, um die Verarbeitung im EU-Raum zu halten, oder über Anthropic (USA, durch AVV und SVK abgesichert) mit Mistral als Fallback routen. lynox AI hat keinen Zugriff auf Konversationsinhalte (kein administrativer Einblick). Geeignet vorbehaltlich der Prüfung der spezifischen Anforderungen des Berufsgeheimnisses — die Anthropic-Komponente unterliegt der US-Jurisdiktion, und regulierte Berufe sollten ggf. die EU-Datenhaltungs-Konfiguration oder die Enterprise-Option mit dediziertem VPS wählen.
• Anthropic Direct API (US-Jurisdiktion) — Konversationsdaten werden zur Inferenz an die US-Infrastruktur von Anthropic übermittelt. Obwohl durch AVV und SVK abgesichert, unterliegt dies der US-Jurisdiktion. Wir empfehlen Berufsgeheimnisträgerinnen und -trägern, vor Nutzung dieser Konfiguration Rechtsberatung einzuholen.

lynox erteilt keine Rechtsberatung. Personen, die dem Berufsgeheimnis unterliegen, sollten eigenständig beurteilen, welche Konfiguration ihren regulatorischen Anforderungen entspricht.

7. Aufsichtsbehörde

Die zuständige Aufsichtsbehörde für den Datenschutz in der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB):

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1
3003 Bern
Schweiz
www.edoeb.admin.ch

Betroffene Personen haben das Recht, beim EDÖB eine Meldung einzureichen, wenn sie der Ansicht sind, dass ihre Datenschutzrechte verletzt wurden.

8. Technische und organisatorische Massnahmen

Gemäss Art. 8 nDSG und Art. 1–4 DSV setzen wir angemessene technische und organisatorische Massnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Einzelheiten zu diesen Massnahmen sind im Sicherheitsanhang unseres Auftragsverarbeitungsvertrags beschrieben.

9. Kontakt

Für alle Fragen zum Datenschutz nach Schweizer Recht:
privacy@lynox.ai

Brandfusion Burlet (lynox AI)
Rapperswil-Jona, Schweiz